Prontidão para Auditoria de IA e a Lacuna entre Aprovação e Governança: Duas Pesquisas de 2026 Mediram a Confiança. Os Cinco Níveis de Postura de IA Explicam de Onde Ela Veio

Este artigo tem fins educacionais e não constitui aconselhamento jurídico ou critérios de certificação. As organizações devem consultar assessoria qualificada sobre as obrigações que lhes são aplicáveis.

Acreditar que você passaria em uma auditoria de IA é, por si só, um autorrelato, e a auditoria existe porque autorrelatos não são evidências.

Dois Relatórios, Uma Forma

Em 29 de julho de 2026, Schellman publicou seu Relatório sobre a Governança de IA de 2026. A Researchscape aplicou a pesquisa entre 13 de abril e 11 de maio de 2026, junto a 525 profissionais dos EUA que trabalhavam ou trabalhavam com governança de IA em organizações com mais de 500 funcionários e receita anual de pelo menos US$ 100 milhões. A principal conclusão foi uma grande disparidade: uma grande maioria acreditava que sua organização poderia passar em uma auditoria de conformidade com IA hoje, enquanto um grupo muito menor descrevia sua governança como totalmente madura. Schellman enquadrou o relatório em cinco áreas onde a confiança e a maturidade divergem: financiamento, supervisão de IA agente, responsabilização, prontidão regulatória e impacto empresarial.

O Estudo sobre GRC na Era da IA da Drata, lançado em 15 de julho de 2026, por meio da Wakefield Research, entrevistou 300 profissionais de TI e segurança e encontrou a mesma imagem do outro lado. Apenas uma pequena minoria tinha total confiança de que conseguia visualizar todas as ferramentas de IA em uso em sua organização. A maioria disse que uma ferramenta de IA usada para trabalho de GRC já havia contribuído para uma auditoria malsucedida ou para um padrão regulatório expirado pelo menos uma vez.

Ambas as pesquisas são de consultoria de fornecedores, e ambos os patrocinadores vendem o que os achados recomendam: Schellman é um organismo de certificação ISO 42001, e a Drata vende automação de conformidade. Portanto, os percentuais merecem o ceticismo que qualquer pesquisa patrocinada merece, e eu lhes dou exatamente isso. A forma não depende deles. A confiança é alta, a visibilidade é baixa, e a auditoria já foi reprovada em algum lugar do prédio.

O Que uma Auditoria Realmente Testa

A frase "auditoria de IA" esconde um objeto específico. Na maioria das empresas, significa conformidade com ISO/IEC 42001:2023, o padrão de sistema de gerenciamento de IA publicado em dezembro de 2023, ou com um programa baseado nele. Os requisitos auditáveis estão em sete cláusulas: contexto da organização, liderança, planejamento, suporte, operação, avaliação de desempenho e melhoria. O Anexo A adiciona um conjunto de controles de referência, agrupados sob títulos como políticas relacionadas à IA, avaliação de impactos dos sistemas de IA, ciclo de vida do sistema de IA, dados para sistemas de IA e uso de sistemas de IA.

Cada uma dessas cláusulas testa o sistema de gerenciamento. A Cláusula 6 pergunta se a organização planejou o risco de IA e avaliou o impacto de seus sistemas. A Cláusula 9 pergunta se ela decidiu o que monitorar, por qual método e quando, e se realizou uma auditoria interna e uma revisão gerencial. Uma organização que documenta tudo isso, segue seus próprios documentos e pode apresentá-los mediante solicitação será aprovada. É para isso que serve uma auditoria de sistema de gerenciamento.

Agora, observe o que ela não observa. O padrão exige que a organização determine o que medir. Ele não exige que a medição inclua como o analista se comporta quando a resposta do modelo está errada. Uma organização pode ter um certificado, uma política, uma avaliação de impacto e uma cadência de monitoramento, e ainda assim não ter nenhum artefato registrando se um único profissional pegou um único erro semeado. Quando novos sistemas são introduzidos, a execução é auditada. O comportamento não.

Portanto, as duas respostas na pesquisa da Schellman são respostas a perguntas diferentes. "Podemos passar em uma auditoria?" pergunta se o aparato existe. "Nossa governança é madura?" pergunta se o aparato funciona. A primeira é uma questão de documentação. A segunda é comportamental. Os respondentes estavam certos em respondê-las de forma diferente. A lacuna é a parte honesta dos dados.

Onde a Lacuna se Localiza na Escada

O modelo de maturidade AI Posture fornece as coordenadas dessa lacuna. Ele pontua uma organização em três vetores independentes: Pessoas, Infraestrutura e Regulação, e cada vetor sobe os mesmos cinco níveis: Perceiving (reconhecimento por escrito, nada medido), Assessing (existe uma linha de base), Integrating (uma mudança de política rastreia essa linha de base), Calibrando (medido continuamente, defensável a um revisor externo) e Engenharia (mantido como capacidade).

Coloque as respostas da pesquisa nessa escada. Uma organização com uma política de IA por escrito e nenhuma medição comportamental está em Perceiving no vetor Pessoas, independentemente de sua confiança. Uma organização que passaria em uma auditoria ISO 42001 tem, no vetor Regulação, algo próximo de Integrating: as obrigações existem como controles, e os controles estão documentados. "Totalmente maduro" é uma alegação sobre Calibrando ou acima. O que a pesquisa mediu é a distância entre o Nível 1 em um vetor e o Nível 4 em outro, relatada pelo mesmo respondente como se fosse um único número.

A regra de restrição do AI Posture recusa essa média. A postura geral de uma organização é o mínimo de seus vetores em escopo. Calibrando em Regulação com Perceiving em Pessoas resulta em Perceiving. Isso é estrutural, e é por isso que um certificado não resolve a questão da maturidade: o certificado eleva um vetor, e os vetores não elevam um ao outro. As obrigações do vetor Regulação em várias jurisdições são catalogadas em EveryAILaw; a prontidão do vetor Infraestrutura para interação agente é uma disciplina separada com sua própria evidência. Nenhum dos dois é o vetor Pessoas, e o vetor Pessoas é onde os respondentes da Schellman foram menos medidos e mais confiantes.

A Descoberta da Revisão Humana é o Indicador

A seção de supervisão agente da Schellman é a parte do relatório que atinge o vetor Pessoas, e é a parte que deveria preocupar os confiantes. Entre organizações com agentes em teste ou produção, o lançamento público diz apenas que as abordagens para revisar as decisões e ações dos agentes variam consideravelmente. Três modelos de revisão cobrem essa gama. Alguns definem limiares que acionam a revisão humana. Alguns revisam apenas as decisões que consideram de alto risco, sem nada estabelecendo o que significa alto risco. O restante exige que uma pessoa revise cada ação do agente, independentemente do risco.

O terceiro modelo é aquele que a confiança produz. Soa rigoroso e decai ao entrar em contato com o volume. Quando uma pessoa tem que aprovar tudo, as aprovações se tornam carimbos de borracha em um ou dois trimestres, e a organização assume o custo da revisão sem a proteção. O segundo modelo tem o mesmo defeito em um ritmo mais lento: um limiar indefinido é um limiar que cada revisor estabelece sob prazo. Esta é a sequência de deriva operacional no ponto em que a revisão humana se torna performática, e o passo de revisão ainda existe no diagrama do processo. Um auditor que lê o diagrama vê supervisão. Os painéis mostram atividade. Eles não mostram confiabilidade.

Nada em uma auditoria de sistema de gerenciamento distingue um passo de revisão que detecta erros de um que os apenas carimba com data e hora. Isso é o que a Cláusula 9 deixa para a organização, e é o que as organizações confiantes não pegaram.

O Que Tornaria a Confiança Merecida

Mover de Perceiving para Assessing no vetor Pessoas leva um artefato: uma linha de base de como as pessoas realmente se comportam quando a saída da IA é incerta, incompleta ou errada. Não o que elas relatam, mas o que elas fazem.

PAICE (People + AI Collaboration Effectiveness) produz essa linha de base. A avaliação semeia erros do tipo que chegam a registros e relatórios para clientes, plausíveis, confiantes e falsos, e pontua se o profissional os pega, verifica a alegação que carrega a decisão, escala quando uma fonte não pode ser confirmada e corrige em vez de defender. Alguém que parece eloquente, mas perde o erro semeado, pontua menos do que uma pessoa concisa que pega tudo. O resultado é um perfil de confiabilidade no nível da coorte, que é exatamente o tipo de medida de monitoramento que a Cláusula 9 pede a uma organização para escolher e não pode escolher por ela.

A arquitetura mantém isso como governança sem vigilância. As pontuações estão ligadas a identificadores criptografados. Nenhum texto de conversa é retido. Os resultados individuais são estruturalmente inacessíveis para a organização, não retidos por política. Um comitê de governança vê a confiabilidade de sua coorte e a direção que ela está tomando. Ele não vê com qual analista falar. O analista vê.

Uma organização que possui essa linha de base pode responder às duas perguntas da pesquisa com um único número, porque o número não é mais um autorrelato. Ela pode nomear seu nível no vetor Pessoas, mostrar a evidência e nomear o próximo degrau. Até então, a auditoria que acreditamos que vamos passar está testando o papelada, e a maturidade que duvidamos é a parte que a papelada nunca alcançou.

Quer avaliar a prontidão de colaboração de sua equipe em IA? Saiba mais sobre PAICE para organizações ou faça uma avaliação individual para ver por si mesmo.

Leitura Recomendada

Cinco Níveis de AI Posture - O modelo de maturidade e seus critérios de evidência em cada nível
Métricas de Governança de IA Além da Adoção e Treinamento - Por que o catálogo de governança padrão mede tudo, exceto o operador
Como Auditar a Supervisão Humana em Fluxos de Trabalho Habilitados por IA - Seis perguntas que separam a revisão de um carimbo de data e hora
Prontidão Regulatória Não É Alfabetização em IA - O que as equipes de GRC devem demonstrar e o que os certificados comprovam